아침에 출근해서 컴퓨터를 켰는데 화면에 낯선 메시지가 뜨고 파일이 전부 열리지 않는다면 기분이 어떨까. 실제로 이런 일을 겪은 작은 회사 사장님들 얘기를 종종 듣는다.

랜섬웨어 공격이라는 게 뉴스에서나 나오는 대기업 얘기 같지만, 데이터를 보면 사실 정반대다.

버라이즌이 2025년에 발표한 데이터 유출 조사 보고서를 보면 직원 수가 적은 중소기업이 겪은 침해 사고 중 88퍼센트가 랜섬웨어와 관련이 있었다. 같은 조사에서 대기업의 경우는 그 비율이 39퍼센트에 그쳤다.

왜 유독 작은 회사가 노려지는가 하면, 이유는 단순하다.

전담 보안 담당자를 따로 두기 힘들고, 소프트웨어 업데이트나 백업 같은 기본적인 절차조차 뒷전으로 밀리기 쉽기 때문이다. 공격하는 입장에서 보면 대기업보다 훨씬 만만한 상대인 셈이다.

실제로 직원 50명 미만 기업의 47퍼센트는 사이버 보안에 배정된 예산 자체가 아예 없다는 조사 결과도 있다. 돈이 없어서라기보다, 우선순위에서 밀려나 있다는 게 더 정확한 표현일 거다.

여기서 하나 짚고 넘어갈 게 있다.

사이버 공격을 당한 소기업의 60퍼센트가 6개월 안에 문을 닫는다는 통계가 워낙 유명해서 여기저기 인용되는데, 사실 이 숫자의 원출처는 명확하지 않다.

이 통계를 처음 만든 것으로 알려졌던 전미사이버보안연맹은 2022년에 자신들이 낸 자료가 아니라며 더 이상 인용하지 말아 달라고 공식적으로 밝힌 바 있다.

그렇다고 위험이 과장됐다는 뜻은 아니다.

아이비엠이 직원 500명 미만 기업을 따로 분석한 자료를 보면 사고 한 건당 평균 피해 규모가 331만 달러에 달했다. 매출 규모가 작은 회사 입장에서는 이 정도 금액이면 회사 전체가 휘청거릴 수 있는 수준이다.

사고가 터지면 단순히 데이터만 잃는 게 아니다. 매장이면 포스기가 먹통이 되고, 사무실이면 주문서와 회계 프로그램이 전부 안 열려서 며칠씩 영업 자체가 마비된다.

랜섬웨어만 문제도 아니다.

연방수사국 인터넷범죄신고센터가 2024년에 낸 보고서를 보면 사장이나 거래처를 사칭해서 돈을 보내게 만드는 이메일 사기로 인한 피해액이 한 해 동안 27억 7천만 달러에 달했고, 신고 건수만 2만 1442건이었다.

전체 사이버 범죄 피해액은 166억 달러로 전년보다 33퍼센트 늘었다. 거래처 담당자 이메일을 사칭해서 계좌를 바꿔달라고 하는 수법이 대표적인데, 바쁜 와중에 무심코 클릭했다가 몇 주 치 매출이 순식간에 날아가는 경우를 실제로 봤다.

자동차로 치면 정기 오일 교환을 미루다가 엔진이 통째로 나가는 상황과 비슷하다. 평소에 조금씩 손보면 될 일을 미루다가 한꺼번에 큰돈이 나가는 구조는 똑같다는 얘기다.

다행히 큰돈 들이지 않고도 시작할 수 있는 방법들이 있다.

연방 사이버보안기반시설청, 흔히 시사(CISA)라고 부르는 기관은 중소기업을 대상으로 무료 취약점 점검 서비스를 제공한다.

신청만 하면 회사 네트워크에 어떤 구멍이 있는지 점검해주고, 이 서비스를 꾸준히 받은 조직은 1년 안에 노출 위험이 40퍼센트가량 줄었다는 자료도 있다.

직원 교육도 생각보다 효과가 크다.

훈련을 안 받은 상태에서는 직원 서너 명 중 한 명꼴로 가짜 피싱 메일을 클릭한다는 조사가 있는데, 정기적으로 교육을 받으면 1년 뒤에는 이 비율이 큰 폭으로 떨어진다는 결과가 나왔다.

거창한 보안팀을 새로 꾸릴 필요는 없다.

직원 전체 계정에 이중 인증을 걸어두고, 중요한 자료는 클라우드와 별도 저장장치에 이중으로 백업해두는 것만으로도 상당수의 공격을 막을 수 있다. 소프트웨어 업데이트 알림이 뜨면 미루지 말고 바로 적용하는 습관도 필요하다.

사이버 보험 가입도 고려해볼 만하다.

가입비가 아깝게 느껴질 수 있지만, 사고 한 번 났을 때 드는 복구 비용과 비교하면 훨씬 저렴한 보험료다. 개인적으로는 몇백 달러 아끼려다 회사 전체를 걸어야 하는 상황이 더 아깝다고 본다.